CVE-2026-47074
Açıklama
ex-aws ex_aws_sns (ExAws.SNS, ExAws.SNS.PublicKeyCache modülleri) içerisindeki Hatalı Sertifika Doğrulaması zafiyeti, Hatalı Doğrulama yoluyla İmza Sahteciliğine olanak tanır. Bu zafiyet; lib/ex_aws/sns.ex, lib/ex_aws/sns/public_key_cache.ex program dosyaları ile 'Elixir.ExAws.SNS':verify_message/1 ve 'Elixir.ExAws.SNS.PublicKeyCache':get/1 program rutinleri ile ilişkilidir. 'Elixir.ExAws.SNS':verify_message/1 fonksiyonu, gelen SNS mesajının SigningCertURL alanından imzalama sertifikasını çekerken, URL'nin HTTPS kullandığını veya ana makinenin AWS'ye ait bir SNS sertifika alanı ile eşleştiğini doğrulamamaktadır. verify_message/1 fonksiyonunu çağıran bir uç noktaya POST isteği gönderebilen kimliği doğrulanmamış bir saldırgan, saldırgan tarafından kontrol edilen bir SigningCertURL sağlayabilir, sahte bir SNS mesajını kendi anahtarıyla imzalayabilir ve fonksiyonun :ok döndürmesini sağlayarak SNS imza doğrulamasını tamamen atlayabilir. Bu sorun, 2.0.1 ile 2.3.5 arasındaki ex_aws_sns sürümlerini etkilemektedir.
Nasıl düzeltilir
- ex_aws_sns_project ex_aws_sns2.3.5, 1853d280b152d10384a1e21a22cf22152a60be48 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ex_aws_sns_project ex_aws_sns | 2.0.1 ≤ v < 2.3.5, a7ec21880943f4dac1d59bda557db0ffcd2b61fa ≤ v < 1853d280b152d10384a1e21a22cf22152a60be48 | 2.3.5, 1853d280b152d10384a1e21a22cf22152a60be48 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.